VPN على Windows مقابل Cisco Secure Client: أيّهما؟
العلامة التجارية لا تسمّي بروتوكولًا: يقدّم Windows عدة أنواع أصلية ويحمل عميل Cisco ملفات تعريف لأكثر من نمط. اقرأ ملف التعريف.
تصل إلى البوابة نفسها تعليمتان: اتصل عبر VPN في Windows، أو ثبّت عميل Cisco. لا تذكر أيٌّ منهما التبادل الذي تتوقعه البوابة، لأن Windows يعرض عدة أنواع أصلية للاتصال ولأن عميل المورّد يحمل ملفات تعريف لأكثر من نمط. الوصفان كلاهما يصف برمجيات، بينما تتوافق البوابة على البروتوكول والمصادقة والسياسة. الجواب يكمن في ملف التعريف، ويمكن قراءته دون الاتصال.
التسمية تشير إلى برمجيات، لا إلى تبادل
العلامة التجارية ونظام التشغيل حقيقتان مختلفتان، ولا واحدة منهما تختار صيغة السلك. يقدّم Windows مجموعة من الأنواع الأصلية، ويقدّم عميل Cisco محرك ملفات تعريف قادرًا على تشغيل SSL أو IPsec/IKEv2. الخلط بين الاثنين ينتج جداول تقارن الشركات بدلًا من مقارنة التبادلات.
يستبدل الجدول أدناه سؤال المنتج بثلاثة مواضع للقراءة والحقل الذي يحتفظ به كل منها. سجّل تلك الحقول، فيختفي الغموض:
| Where to read it | Field name to record | What a mismatch looks like |
|---|---|---|
| Native Windows profile | TunnelType and AuthenticationMethod from Get-VpnConnection | The client offers IKEv2 while the gateway answers only on an SSL port |
| Vendor client profile | SSL or IPsec/IKEv2 mode, plus the client and headend version pair | The imported profile negotiates a mode this headend does not serve |
| Gateway configuration | Protocol, authentication policy and the certificate the headend presents | The client authenticates and then drops, because policy expects another method |
إن مرجع أنواع VPN في Windows الذي تنشره Microsoft يسرد IKEv2 إلى جانب SSTP بين الأنواع الأصلية، وهذا ينهي فكرة أن ملف التعريف الأصلي يعني PPTP. تصف وثائق ملفات تعريف Cisco كلا النمطين SSL وIPsec/IKEv2 بسياسة رأس مطابقة. يقدّم كل مورّد عدة خيارات، لذا لا يحدد أي من الاسمين بروتوكولًا واحدًا.
ما تضعه الأنواع الأصلية على السلك
يتفاوض IKEv2 على ارتباطات أمنية عبر UDP ويحمل حركة المرور داخل IPsec، ما يجعله نظيرًا لتنفيذات IKEv2 أخرى وليس تصميمًا خاصًا بـ Microsoft. يلفّ SSTP بروتوكول PPP داخل جلسة HTTPS، فيعبر وكلاء لا يستطيع IKEv2 عبورهم ويبدو كـ TLS على السلك دون أن يكون بروتوكول VPN من نوع TLS. هاتان الحقيقتان تفسّران معظم تذكرة تقول إن النفق يعمل في شبكة ويفشل في أخرى.
يقع L2TP مع IPsec وإدخال PPTP الأقدم في القائمة المنسدلة نفسها، ووجودها هناك لا يقول شيئًا عن دعم الخادم. القائمة المنسدلة قائمة بما يستطيع نظام التشغيل محاولته، وليست بيان قدرات من البوابة. قراءتها كقائمة دعم هي كيف يبدأ بحث عن بيانات الاعتماد يدوم ساعتين.
الحقول المهمة في ملف التعريف الأصلي هي نوع الاتصال وطريقة المصادقة وهوية الخادم. النوع الخاطئ يفشل في مرحلة مختلفة عن كلمة مرور سيئة، وذلك الفرق هو الدليل الجدير بالمتابعة.
ما يضيفه عميل المورّد: ملفات تعريف، لا بروتوكول
عميل Cisco حاوية لملفات التعريف. يختلف نمط SSL ونمط IPsec/IKEv2 في التبادل وتوقعات المنافذ ونص الخطأ، وملف التعريف المستورد يختار بينهما. لذا فإن تثبيت العميل لا يثبت شيئًا عن إمكانية الوصول.
تُقرن الإصدارات لسبب. تُتفاوض الميزات وتدفقات المصادقة وفحوص الوضع بين العميل ورأس الشبكة، لذا قد يفشل عميل قديم أمام رأس جديد بطريقة تُقرأ كعطل شبكة. ذلك الاقتران ينتمي إلى تعريف الاتصال لا إلى ملاحظة ترقية.
نادرًا ما يطابق ملف تعريف صُدِّر من مؤسسة أخرى رأس الشبكة المحلي، واستيراده قد يترك العميل يعرض نمطًا لا تخدمه البوابة. اقرأ النمط من ملف التعريف أولًا، ثم قارنه بالبروتوكول وسياسة المصادقة المهيأين في البوابة. بعد اتفاقهما فقط تصبح الشبكة مشتبهًا بها. هذا الترتيب يوفر التقاط حزم كان سيُظهر جلسة TLS سليمة موجهة إلى الخدمة الخطأ.
اقرأ ملف التعريف المحلي قبل تغيير أي شيء
على Windows يمكن قراءة التهيئة الأصلية دون طلب اتصال، ويسمّي الناتج النوع وطريقة المصادقة مباشرة. قارن تلك القيم بما يقول مالك البوابة إن رأس الشبكة يقبله. إذا خالف النوع التذكرة، فصحّح التذكرة أولًا، لأن ذلك أرخص من إعادة تثبيت عميل لم يكن مخطئًا قط.
تغطي هذه الأوامر الأربعة ملف التعريف ومساره ومحاولة الاتصال وإمكانية الوصول إلى المنفذ. نفّذها بهذا الترتيب على جهاز مثبّت عليه ملف التعريف بالفعل:
Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443اختبار المنفذ هو الذي يُقرأ أكثر من اللازم. مستمع TCP 443 يقدّم صفحة تسجيل دخول وآخر ينهي IKEv2 يبدوان متطابقين من الخارج، لأن المنفذ موقع وليس بروتوكولًا.
اكتب النتيجة كثلاثة حقول، العميل والنمط والبوابة، واحتفظ بها بجانب التذكرة. أي شيء أقصر يترك الشخص التالي ليكتشف الغموض نفسه من جديد.